|
| |
|
|
| Sommaire Sécurité |
 |
| 20 vulnérabilités applicatives parmi les plus critiques |
| Comme chaque trimestre, le SANS Institute publie sa mise à jour des failles applicatives les plus dangereuses, sur systèmes Windows et Unix/Linux.
(28/07/2005) |
|
Comme chaque trimestre, le SANS Institute (SANS pour SysAdmin Audit Security Network) publie une mise à jour des failles applicatives les plus dangereuses dans le monde.
Les caractéristiques de ces failles sont de viser un grand nombre d'utilisateurs, de ne pas avoir été éliminées malgré les correctifs proposés, de permettre la prise en main d'un poste à distance et d'avoir été découvertes au cours du 2e trimestre 2005.
De plus, elle sont l'objet d'une abondante documentation accessible par Internet.
Au cours du deuxième trimestre 2005, 422 nouvelles vulnérabilités ont été découvertes, soit une hausse de 20 % par rapport au deuxième trimestre 2004 et de 10,8 % par rapport au premier trimestre 2005.
Deux familles de vulnérabilités critiques sont publiées par le SANS Institute : les failles dans les systèmes Windows et celles dans les systèmes Unix.
|
Les nouvelles vulnérabilités dans les systèmes Windows
(Source : SANS Institute)
|
| |
Outil / Service
|
Commentaires
|
|
1
|
Serveurs Web
|
Les installations par défaut de nombreux serveurs Web se sont montrées vulnérables au déni de service, à la consultation de données et fichiers sensibles, à l'exécution de commandes arbitraires sur le serveur et au contrôle complet du serveur par un tiers. Les OS concernés son Nt, pour Microsoft IIS : WindowsT4.0+, dont XP Professional ; pour
Apache : Windows NT4.0 SP3+ ; pour
Sun Java System/Sun One/iPlanet Web Server : Windows NT4.0 SP6+.
|
|
2
|
Workstation
Service
|
Windows Workstation Service gère les requêtes d'accès aux fichiers ou aux imprimantes, déterminant si les ressources sont sur le système local ou sur le réseau. Des risques de buffer overflow ont été identifiés. Les OS concernés sont : Windows 2000 SP2, SP3 et SP4
Windows XP, Windows XP SP1,
Windows XP 64 Bit Edition.
|
|
3
|
Windows Remote Access Services
|
Windows Remote Access Services permet la gestion des principaux protocoles standards de réseau. Les dangers auxquels est confronté ce service sont : log anonyme, accès distant au registre et appel distant de procédures. Les vers I-Worm.Klez.a-h et Nimbda ainsi que le virus Sircam en ont profité pour se répandre (en 2001), installant des copies d'eux-mêmes sur des espaces de partage réseau. OS concernés : Windows 95, 98, NT Workstation et Server, Me, 2000 Workstation et Server, XP Home et Professional, 2003.
|
|
4
|
SQL Server
|
Plusieurs vulnérabilités critiques dans SQL Server permettent à des pirates distants d'accéder à des informations sensibles, de modifier le contenu des bases de données et de compromettre les serveurs SQL. OS touchés : tout système Windows où Microsoft SQL/MSDE Server 7.0, Microsoft SQL/MSDE Server 2000 ou Microsoft SQL/MSDE Server Desktop Engine 2000 sont installés.
|
|
5
|
Authenti-
-
fication
|
L'existence de comptes utilisateurs sans mot de passe ou avec un mot de passe aisément devinable ainsi que la création par l'OS ou par des applications tierces de comptes sans mot de passe (ou avec mot de passe faible) et l'utilisation par des applications Open Source d'algorithmes connus continuent d'affaiblir les niveaux de sécurité.
|
|
6
|
Navigateurs Web
|
153 vulnérabilités ont été découvertes depuis avril 2001 sur IE, ce qui est jugé comme anormal par le SANS en comparaison des autres navigateurs disponibles sur le marché. A cela s'ajoutent des délais jugés trop longs pour corriger certaines vulnérabilités (jusqu'à 6 mois d'attente), sachant que 34 vulnérabilités demeurent non patchées selon le site umbrella.name.
Enfin, l'intégration de IE dans le système d'exploitation Windows contribue à fragiliser ce dernier. Les spywares et adwares affectent, eux, tous les navigateurs.
|
|
7
|
P2P
|
Trois types de vulnérabilités pour les logiciels P2P : les vulnérabilités techniques, qui peuvent être exploitées à distance, les vulnérabilités sociales qui sont exploitées en altérant ou masquant les contenus binaires des documents téléchargés, et les vulnérabilités légales, qui résultent en un viol des droits de propriétés.
|
|
8
|
Local Security Authority Subsystem Service
|
Le Local Security Authority Subsystem Service dans Windows 2000, Server 2003 et Server 2003 64 Bit, XP et XP 64 Bit contient une faille critique de type buffer overflow qui peut déboucher sur un contrôle complet du système (Bulletin MS04-011). OS concernés : Windows 2000, XP et Professional, Windows XP 64-Bit Edition, Windows 2003.
|
|
9
|
Client de messagerie
|
Microsoft Outlook et Outlook Express sont constamment soumis aux menaces véhiculées par les pièces attachées des mails-virus, par le spam et le "beaconing" qui consiste à faire valider une adresse mail par simple ouverture du mail envoyé.
|
|
10
|
Messagerie instantanée
|
Les vulnérabilités de ces logiciels sont exploitées par des contrôles ActiveX, des scripts exécutés et autres buffer overflows. Les OS concernés sont Windows 98, ME, 2000 et Professional, XP et 2003 qui sont tous capables de faire tourner les logiciels de messagerie instantanée de Microsoft. Toutes les versions de Windows XP sont fournies avec un logiciel d'IM intégré dans l'OS.
|
Les 10 vulnérabilités suivantes sont propres aux systèmes Unix.
|
Les vulnérabilités dans les systèmes Unix
(Source : SANS Institute)
|
| |
Outil / Service
|
Commentaires
|
|
1
|
BIND Domain Name System
|
Le Berkeley Internet Name Domain (BIND) est l'implémentation la plus répandue du Domain Name Service (DNS), ce dernier facilitant la conversion des URL en adresse IP correspondante. Les attaques visant les serveurs DNS les plus courantes sont les suivantes : déni de service, requêtes DNS malformées, buffer overflows... Tous les systèmes UNIX et Linux sont fournis avec une version de BIND.
|
|
2
|
Serveurs Web
|
Les mauvaises configurations ou celles déterminées par défaut sont à l'origine de nombreuses compromissions. Comme pour les systèmes Windows, tous les systèmes UNIX sont capables de supporter des serveurs Web, comme Apache (qui est supporté par Linux également). Les serveurs Web sont le plus souvent inquiétés par des vulnarabilités largement diffusées. Une grande vigilance est donc requise.
|
|
3
|
Authenti-
-
fication
|
Tous OS et applications (sur toutes plates-formes) sont concernés, à partir du moment où une authentification de l'utilisateur est requise, par login et mot de passe.
|
|
4
|
Contrôles de versions
|
La gestion de différentes versions de documents ou de code source est assurée par de nombreux logiciels, dont CVS, qui donne accès à un CVS repository parfois en mode distant. Des buffer overflows et des dénis de service peuvent être générés sur cet outil. Subversion, un autre outil, est sujet à d'autres vulnérabilités (heap-based overflows et stack-based overflows).
|
|
5
|
Messagerie
|
Sendmail, Qmail, Courier-MTA, Postfix et Exim sotn constamment soumis à des attaques et doivent être régulièrement patchés et maintenus.
|
|
6
|
SNMP
|
Le protocole Simple Network Management Protocol sert à configurer les équipements et appareils compatibles TCP/IP. Une alerte du CERT rappelle les vulnérabilités qui touchent ce protocole.
|
|
7
|
Open Secure Sockets Layer (SSL)
|
De multiples vulnérabilités ont été trouvées dans la librairie OpenSSL (CAN-2002-0655, CAN-2002-0656, CAN-2002-0557, CAN-2002-0659 et CAN-2003-0545).
|
|
8
|
NIS/NFS
|
Une mauvaise configuration de ces services, largement utilisés dans les systèmes Unix, peut déboucher sur des buffer overflows, des dénis de service et des authentifications faibles.
|
|
9
|
Bases de données
|
Les failles récemment publiées sur les bases Oracle ou MySQL rappellent que les vulnérabilités dans ce domaine sont toujours bien présentes.
|
|
10
|
Kernel
|
Pratiquement toutes les versions d'Unix, dont Solaris et HP-UX, les distributions Linux, les versions BSD ont été confrontées à des vulnérabiltés du noyau (Kernel).
|
|
| |
| |
|
|
|
Dossier 
